Politique de confidentialité

Texte préparé par l'assistant à partir du relevé des données du système, sous la responsabilité du maître d'ouvrage. Version 1.2 — septembre 2026.

La version 1.2 ajoute ce que le système garde pour la logistique — les reçus signés, les mandats, les départs et les incidents de transport —, combien de temps, et ce qu'il en reste ensuite ; elle dit comment les photographies déposées sont traitées, que les fichiers sauvegardés sont chiffrés, et combien de temps les sauvegardes sont gardées. Elle corrige deux phrases que ces pièces avaient rendues inexactes, et dit ce qu'est vraiment la durée des fiches inactives : une règle de maison.

1. Pourquoi cette politique

Lorsque vous utilisez Sankofa OS, Le Comptoir ou un espace associé, des informations vous concernant sont enregistrées : pour vous connecter, pour tenir votre fiche, pour vous payer ou vous facturer, pour tracer ce qui a été fait et par qui. Cette politique dit ce que nous gardons, pourquoi, pendant combien de temps, qui le voit, et ce qui sort de chez nous — et elle le dit d'après ce que le système fait réellement, pas d'après ce qu'il pourrait faire.

2. Qui est responsable

Le responsable du traitement est Sankofa Group SRL, seule.

Siège social : Rue Séraphin 16 — 5060 Sambreville — Belgique

BCE : 1041.022.707 · Site : sankofagroup.be

Protection des données : privacy@sankofagroup.be

Les relais, producteurs et partenaires qui utilisent Sankofa OS sont des utilisateurs du système ; ils ne décident pas de ses finalités.

3. Ce que nous gardons, et pourquoi

Votre compte : votre adresse de courriel, qui sert d'identifiant ; l'empreinte de votre mot de passe, jamais le mot de passe ; vos dates de connexion ; le fait que le compte soit ouvert ou suspendu.

Votre fiche : votre nom ou celui de votre structure, sa forme, votre numéro de téléphone — au Cameroun, c'est le contact réel, et le compte mobile par lequel un producteur est payé —, votre adresse de courriel, votre photographie si vous en déposez une, votre localité, et un champ de notes libre. Ce champ est un pense-bête de travail : son aide dit ce qui n'a pas à y être écrit, et rien de ce qu'il contient ne paraît sur une pièce ni en public.

Votre demande d'inscription, avec sa décision et son motif, qui reste après validation.

Les parcelles, pour un producteur : leur position, leur contour au-delà de quatre hectares, leur superficie, leurs cultures et leurs pratiques. C'est la donnée la plus sensible du système, et le public n'en voit rien : ni position, ni superficie, ni nom du producteur sans son accord daté et révocable.

Le travail et l'argent : les collectes, les réceptions et leurs observations, ce qui est dû à une personne nommée et ce qui lui a été payé, avec la référence du paiement ; les devis, commandes, livraisons et factures, où les coordonnées du client sont figées à l'émission — une pièce ne change plus.

Les pièces de la logistique. Quand du café écarté au contrôle est rendu à un producteur, un reçu de restitution dit ce qui a été remis, par quel relais, à qui — le producteur, ou la personne qu'il a désignée pour recevoir à sa place. Le reçu signé par les deux parties est photographié et joint au dossier. Un producteur peut désigner cette personne depuis son compte ; le Bureau peut le faire sur un mandat écrit signé par le producteur, photographié lui aussi. Le nom de la personne désignée est gardé ; son lien avec le producteur (« son fils ») ne l'est que tant que le mandat sert, et n'est ni imprimé sur le reçu ni écrit dans le journal. Quand des sacs partent d'un site de Sankofa Group SRL vers un autre, un bon de départ dit d'où, vers où, qui les a remis et, s'il est connu, le transporteur ; un incident de transport dit ce qui a été constaté quand un sac n'arrive pas comme prévu.

Les photographies que vous déposez — un reçu signé, un mandat écrit — doivent être des images JPEG, PNG ou WebP de 5 Mio au plus. Elles sont vérifiées puis réenregistrées : leurs métadonnées, dont la position enregistrée par le téléphone, ne sont pas gardées, et leur nom est remplacé par un identifiant qui ne dit rien. Sankofa Group SRL ne garde pas les octets exacts envoyés par votre téléphone : c'est l'image réenregistrée qui est conservée, et son empreinte qui la prouve.

Les traces : un journal d'audit qui dit qui a fait quoi, quand, et ce que valait la donnée avant — il ne se modifie pas et ne se supprime pas ; les codes de vérification de téléphone, les messages envoyés et leur résultat, et l'acceptation des textes légaux avec sa date. L'adresse IP est gardée dans ces traces, et nulle part ailleurs.

Ce que nous ne gardons pas : aucun outil de mesure d'audience, aucun profil publicitaire, aucune donnée de navigation, aucun enregistrement de votre appareil ou de votre navigateur. Consulter le catalogue public ne dépose et n'enregistre rien.

4. Sur quelle base

Le contrat qui nous lie — le compte, la commande, le paiement, la facture — pour ce qui sert à l'exécuter ; nos obligations légales pour la conservation des pièces comptables, la facturation électronique et la traçabilité des produits ; votre consentement, daté et révocable, pour que votre nom paraisse en public sur le parcours d'un café ; et notre intérêt légitime à tenir un journal de ce qui est fait dans le système, pour le prouver.

5. Qui voit quoi

Chacun voit ce que son rôle lui donne, dans son périmètre — jamais davantage. Un producteur voit ses parcelles, ses offres, ce qui lui est dû. Un relais voit les producteurs qu'il accompagne réellement, leur numéro compris, parce qu'il les appelle. Un client voit ses devis, ses commandes, ses factures. Les équipes de Sankofa Group SRL voient ce que leur fonction demande : le terrain pour les opérations, les montants et les numéros de paiement pour la finance, les clients pour le commercial. Le journal d'audit ne se lit qu'avec un droit donné nommément par l'administrateur.

Un administrateur n'a pas le droit de consulter une donnée par curiosité. Les accès refusés sont journalisés.

6. Qui reçoit vos données, et où

Rien ne sort au chargement d'une page : les polices, les icônes et les scripts sont hébergés chez nous. Ce qui sort, nommément :

L'hébergement et le courriel — OVH SAS, 2 rue Kellermann, 59100 Roubaix, France. Les serveurs de l'application sont situés à Beauharnois (Québec, Canada), dans un centre de données du groupe OVHcloud : vos données sont donc hébergées hors de l'Espace économique européen. Le Canada fait l'objet d'une décision d'adéquation de la Commission européenne (décision 2002/2/CE), limitée aux organisations soumises à sa Loi sur la protection des renseignements personnels et les documents électroniques ; la garantie retenue pour cet hébergement est précisée plus bas, avec celle des accès depuis le Cameroun.

Les messages SMS — eSMS Africa, l'opérateur qui remet les codes de vérification et les notifications aux numéros camerounais : votre numéro et le texte du message lui sont transmis. C'est un transfert vers le Cameroun, nécessaire à l'exécution du service que vous demandez.

Le paiement en ligne — Stripe Payments Europe, Ltd., Dublin, Irlande : lorsque vous payez par carte ou par virement en ligne, vos données de paiement sont saisies sur sa page sécurisée ; Sankofa Group SRL n'en a jamais connaissance et ne reçoit que la confirmation, le montant et une référence.

La facturation électronique — la plateforme de facturation par laquelle Sankofa Group SRL transmet ses factures au réseau Peppol : le nom, l'adresse, le numéro d'entreprise et les montants du client professionnel y transitent, comme l'exige la loi belge depuis le 1er janvier 2026.

Le service de cartes de votre téléphone — sur deux écrans seulement, et uniquement au clic : le chauffeur qui ouvre l'itinéraire d'une tournée transmet les adresses de livraison à l'application de cartes de son téléphone ; le relais qui navigue jusqu'à une parcelle lui transmet sa position. Rien ne part avant le clic, et c'est vous qui l'effectuez.

Les accès depuis le Cameroun — les relais et les producteurs consultent, depuis le Cameroun, des données hébergées au Canada. Cette consultation est, au sens du RGPD, un transfert vers un pays qui ne fait pas l'objet d'une décision d'adéquation. Sankofa Group SRL l'assume comme nécessaire à l'exécution du service : sans elle, les producteurs ne pourraient ni déclarer leurs parcelles ni être payés. Les données consultées transitent chiffrées, et chaque accès s'inscrit dans le périmètre du rôle de la personne.

Sur votre appareil : pour fonctionner sans réseau, l'application garde sur le téléphone les pages consultées pendant vingt-quatre heures et une saisie en attente d'envoi pendant sept jours au plus.

7. Combien de temps

| Ce qui est gardé | Durée | |---|---| | Les traces du journal d'audit | 5 ans | | Les codes de vérification de téléphone | 24 heures | | Les demandes de compte refusées | 1 an | | Les messages et notifications émis | 1 an | | Les fiches inactives | 10 ans après la dernière pièce comptable | | Reçus signés et mandats écrits | 7 ans après clôture — 12 mois sans contestation si le producteur a aussi confirmé depuis son compte | | Restitutions, départs, incidents et reçus de restitution clos | 7 ans après clôture |

Ces durées sont appliquées par une purge datée, dont chaque exécution est visible sur l'écran Conformité. Les années se comptent en années civiles, à partir de la clôture de la pièce.

Une fiche inactive n'est pas effacée : elle se tait — les pièces émises gardent le nom qu'elles portaient, et la fiche ne dit plus rien d'autre. Ses dix ans sont une règle de maison : la loi comptable belge demande sept ans pour les pièces ; Sankofa Group SRL attend davantage avant de faire taire une fiche, pour ne jamais rendre muette une personne qu'une pièce encore conservée cite.

À l'échéance d'une pièce de la logistique, sa ligne reste — son code, ses dates, son issue — mais ce qui nomme ou raconte s'en va : la photo du reçu signé ou du mandat écrit est effacée du disque, et seule son empreinte reste, avec la date de l'effacement ; les motifs écrits à la main sont vidés ; le reçu de restitution imprimable est effacé, avec la trace de ses impressions et de ses envois. Une pièce ouverte — une remise non confirmée, une contestation en cours, un sac en route — n'est jamais purgée ; et le Bureau peut geler une pièce close le temps d'un litige : tant que le gel tient, rien d'elle ne s'efface.

8. Vos droits

Vous pouvez accéder à vos données et les rectifier depuis « Mon compte » ou en nous écrivant ; demander leur effacement — la fiche se tait, les pièces émises restent, et le journal d'audit garde cinq ans ce qu'il a déjà écrit : il peut nommer, par exemple, la personne à qui du café a été remis ; retirer votre consentement à la publication de votre nom, à tout moment, avec le même effet immédiat que son octroi ; demander la limitation ou vous opposer à un traitement fondé sur notre intérêt légitime ; recevoir vos données dans un format lisible.

Écrivez à privacy@sankofagroup.be. Nous répondons dans le mois.

Vous pouvez aussi introduire une réclamation auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, autoriteprotectiondonnees.be.

9. Sécurité

Les échanges sont chiffrés. Les mots de passe ne sont jamais stockés, seule leur empreinte l'est. Les droits sont vérifiés côté serveur à chaque demande. Les photographies ne sont servies qu'à travers une vérification des permissions. Chaque nuit, la base et les fichiers déposés sont sauvegardés, chacun dans une copie chiffrée avant d'être écrite, puis déposés hors de chez l'hébergeur. Ces sauvegardes servent à repartir après un incident, pas à archiver : elles sont gardées 7 jours sur le serveur et 30 jours sur le poste où elles sont rapatriées, puis effacées.

10. Les cookies

Deux cookies, strictement nécessaires, et rien d'autre. La Politique cookies, à l'adresse app.samcafe.be/cookies/, les décrit.

11. Modifications

Sankofa Group SRL peut mettre à jour cette politique lorsqu'un service s'ajoute, qu'un prestataire change ou que la réglementation évolue. Chaque version est datée et numérotée, et dit ce qui a changé.

12. Contact

Sankofa Group SRL · BCE 1041.022.707

Rue Séraphin 16 — 5060 Sambreville — Belgique